The version of GitLab installed on the remote host is affected by a vulnerability, as follows:

  - In all versions of GitLab CE/EE since version 7.7, the application may let a malicious user create an     OAuth client application with arbitrary scope names which may allow the malicious user to trick     unsuspecting users to authorize the malicious client application using the spoofed scope name and     description. (CVE-2021-39881)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In all versions of GitLab CE/EE since version 7.7, the application may let a malicious user create an     OAuth client application with arbitrary scope names which may allow the malicious user to trick     unsuspecting users to authorize the malicious client application using the spoofed scope name and     description. (CVE-2021-39881)

Note that Nessus relies on the presence of the package as reported by the vendor.

Gitlab reports :

Stored XSS in merge request creation page

Denial-of-service attack in Markdown parser

Stored Cross-Site Scripting vulnerability in the GitLab Flavored Markdown

DNS Rebinding vulnerability in Gitea importer

Exposure of trigger tokens on project exports

Improper access control for users with expired password

Access tokens are not cleared after impersonation

Reflected Cross-Site Scripting in Jira Integration

DNS Rebinding vulnerability in Fogbugz importer

Access tokens persist after project deletion

User enumeration vulnerability

Potential DOS via API requests

Pending invitations of public groups and public projects are visible to any user

Bypass Disabled Repo by URL Project Creation

Low privileged users can see names of the private groups shared in projects

API discloses sensitive info to low privileged users

Epic listing do not honour group memberships

Insecure Direct Object Reference vulnerability may lead to protected branch names getting disclosed

Low privileged users can import users from projects that they they are not a maintainer on

Potential DOS via dependencies API

Create a project with unlimited repository size through malicious Project Import

Bypass disabled Bitbucket Server import source project creation

Requirement to enforce 2FA is not honored when using git commands

Content spoofing vulnerability

Improper session management in impersonation feature

Create OAuth application with arbitrary scopes through content spoofing

Lack of account lockout on change password functionality

Epic reference was not updated while moved between groups

Missing authentication allows disabling of two-factor authentication

Information disclosure in SendEntry

リモートホストにインストールされている GitLab のバージョンは、以下の脆弱性の影響を受けます:

  - バージョン 7.7 以降の GitLab CE/EE のすべてのバージョンにおいて、悪意のあるユーザーが任意のスコープ名を持つ OAuth クライアントアプリケーションを作成する可能性があり、これにより悪意のあるユーザーが偽装されたスコープ名と説明を使用して疑いを持たないユーザーを騙す可能性があります。(CVE-2021-39881)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 7.7 以降の GitLab CE/EE のすべてのバージョンにおいて、悪意のあるユーザーが任意のスコープ名を持つ OAuth クライアントアプリケーションを作成する可能性があり、これにより悪意のあるユーザーが偽装されたスコープ名と説明を使用して疑いを持たないユーザーを騙す可能性があります。(CVE-2021-39881)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

远程主机上安装的 GitLab 版本受到以下漏洞的影响：

  - 在自版本 7.7 以来的所有 GitLab CE/EE 版本中，应用程序可让恶意用户创建具有任意范围名称的 OAuth 客户端应用程序，这可允许恶意用户欺骗毫无戒心的用户向使用具有欺骗性质的范围名称和描述的恶意客户端应用程序授权。(CVE-2021-39881)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Gitlabによる報告：

マージリクエスト作成ページの蓄積型XSS

Markdownパーサーでのサービス拒否攻撃

GitLab Flavored Markdownの蓄積型クロスサイトスクリプティングの脆弱性

GiteaインポーターのDNSリバインドの脆弱性

プロジェクトのエクスポートでのトリガートークンの漏洩

期限切れのパスワードを持つユーザーの不適切なアクセスコントロール

なりすまし後にアクセストークンがクリアされない

Jira統合でのクロスサイトスクリプティングの反映

FogbugzインポーターのDNSリバインドの脆弱性

プロジェクト削除後もアクセストークンが残る

ユーザー列挙の脆弱性

APIリクエストによるDOSの可能性

パブリックグループおよびパブリックプロジェクトの保留中の招待が、すべてのユーザーに表示されます

URLプロジェクト作成による無効なリポジトリのバイパス

権限の低いユーザーが、プロジェクトで共有されているプライベートグループの名前を表示できます

APIは、権限の低いユーザーに機密情報を漏洩します

Epicリストがグループメンバーシップを尊重しません

安全でないDirect Object Referenceの脆弱性により、保護されたブランチ名が漏洩する可能性があります。

低い権限のユーザーは、自分がメンテナーでないプロジェクトからユーザーをインポートできます

依存関係APIによる潜在的なDOS

悪意のあるプロジェクトのインポートを通じて、無制限のリポジトリサイズでプロジェクトを作成します

無効なBitbucket Serverインポートソースプロジェクト作成のバイパス

gitコマンドの使用時に2FAを強制する要件が満たされません

コンテンツスプーフィングの脆弱性

なりすまし機能の不適切なセッション管理

コンテンツなりすましを通じて任意のスコープでOAuthアプリケーションを作成

パスワード変更機能のアカウントロックアウトの欠如

グループ間を移動中にEpic参照が更新されませんでした

認証がないため、二要素認証を無効にできます

SendEntryにおける情報漏洩

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 GitLab CE/EE 7.7 版以後的所有版本中，應用程式可能會讓惡意使用者建立具有任意範圍名稱的 OAuth 用戶端應用程式，惡意使用者可藉此使用偽造的範圍，誘騙不知情使用者授權惡意用戶端應用程式名稱和描述。(CVE-2021-39881)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 GitLab 版本受到下列弱點影響：

  - 在 GitLab CE/EE 7.7 版以後的所有版本中，應用程式可能會讓惡意使用者建立具有任意範圍名稱的 OAuth 用戶端應用程式，惡意使用者可藉此使用偽造的範圍，誘騙不知情使用者授權惡意用戶端應用程式名稱和描述。(CVE-2021-39881)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在自版本 7.7 以来的所有 GitLab CE/EE 版本中，应用程序可让恶意用户创建具有任意范围名称的 OAuth 客户端应用程序，这可允许恶意用户欺骗毫无戒心的用户向使用具有欺骗性质的范围名称和描述的恶意客户端应用程序授权。(CVE-2021-39881)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
187534	GitLab 7.7 < 14.1.7 / 14.2 < 14.2.5 / 14.3 < 14.3.1 (CVE-2021-39881)	Nessus	CGI abuses	1/3/2024	5/17/2024	low
259605	Linux Distros Unpatched Vulnerability : CVE-2021-39881	Nessus	Misc.	8/30/2025	8/30/2025	low
153870	FreeBSD : Gitlab -- vulnerabilities (1bdd4db6-2223-11ec-91be-001b217b3468)	Nessus	FreeBSD Local Security Checks	10/5/2021	11/29/2023	high
187534	GitLab 7.7 < 14.1.7 / 14.2 < 14.2.5 / 14.3 < 14.3.1 (CVE-2021-39881)	Nessus	CGI abuses	1/3/2024	5/17/2024	low
259605	Linux Distros のパッチ未適用の脆弱性: CVE-2021-39881	Nessus	Misc.	8/30/2025	8/30/2025	low
187534	GitLab 7.7 < 14.1.7 / 14.2 < 14.2.5 / 14.3 < 14.3.1 (CVE-2021-39881)	Nessus	CGI abuses	1/3/2024	5/17/2024	low
153870	FreeBSD：Gitlab -- 脆弱性（1bdd4db6-2223-11ec-91be-001b217b3468）	Nessus	FreeBSD Local Security Checks	10/5/2021	11/29/2023	high
259605	Linux Distros 未修補的弱點：CVE-2021-39881	Nessus	Misc.	8/30/2025	8/30/2025	low
187534	GitLab 7.7 < 14.1.7 / 14.2 < 14.2.5 / 14.3 < 14.3.1 (CVE-2021-39881)	Nessus	CGI abuses	1/3/2024	5/17/2024	low
259605	Linux Distros 未修补的漏洞：CVE-2021-39881	Nessus	Misc.	8/30/2025	8/30/2025	low

Detections

Analytics

Plugins Search

low

low

high

low

low

low

high

low

low

low